Vzhledem k častějším případům získání přístupu k repozitářům velkých projektů a šíření škodlivého kódu prostřednictvím kompromitace účtů vývojářů zavádí společnost GitHub plošnou rozšířenou verifikaci účtů. Pro správce a administrátory 500 nejpopulárnějších NPM balíčků bude na začátku příštího roku zavedena povinná dvoufaktorová autentizace.
Od 7. prosince 2021 do 4. ledna 2022 dojde k převodu všech maintainerů, kteří mají právo publikovat NPM balíčky, ale nevyužívají dvoufaktorovou autentizaci, na používání rozšířené verifikace účtů. Rozšířená verifikace zahrnuje nutnost zadání jednorázového kódu, který je odesílán na email při pokusu o přihlášení na web npmjs.com nebo při provádění autentizované operace v nástroji npm.
Rozšířená verifikace nenahrazuje, ale pouze doplňuje dříve dostupnou volitelnou dvoufaktorovou autentizaci, při které je potřeba potvrzení pomocí jednorázových hesel (TOTP). Při aktivaci dvoufaktorové autentizace není rozšířená verifikace přes email používána. Od 1. února 2022 začne proces převodu na povinnou dvoufaktorovou autentizaci pro správce 100 nejpopulárnějších NPM balíčků podle počtu závislostí. Po dokončení migrace první stovky se změna rozšíří na 500 nejpopulárnějších NPM balíčků podle počtu závislostí.
Kromě dostupného schématu dvoufaktorové autentizace na základě aplikací pro generování jednorázových hesel (Authy, Google Authenticator, FreeOTP atd.) plánují v dubnu 2022 přidat možnost použití hardwarových klíčů a biometrických skenerů, které mají podporu protokolu WebAuthn, a také možnost registrace a správy různých dalších autentizačních faktorů.
Připomeňme, že podle výzkumu provedeného v roce 2020 pouze 9,27 % správců balíčků používá dvoufaktorovou autentizaci k ochraně přístupu a v 13,37 % případů se při registraci nových účtů vývojáři pokusili znovu použít kompromitovaná hesla, která se objevila v známých únikách hesel. Při kontrole spolehlivosti použitých hesel se podařilo získat přístup k 12 % účtů v NPM (13 % balíčků) kvůli používání předvídatelných a triviálních hesel, jako je „123456“. Mezi problémovými byly 4 účty uživatelů z Top 20 nejpopulárnějších balíčků, 13 účtů, jejichž balíčky byly staženy více než 50 milionůkrát měsíčně, 40 — s více než 10 miliony stažení měsíčně a 282 s více než 1 milionem stažení měsíčně. S ohledem na načítání modulů prostřednictvím závislostí mohla kompromitace nespolehlivých účtů zasáhnout celkem až 52 % všech modulů v NPM.
Zdroj: opennet.ru
